7 miền (domains) của cơ sở hạ tầng CNTT điển hình trong bảo mật mạng

Giới thiệu

Trong kiến trúc bảo mật mạng doanh nghiệp, mô hình 7 miền của cơ sở hạ tầng CNTT (7 Domains of a Typical IT Infrastructure) được sử dụng rộng rãi (đặc biệt trong các khóa học như CompTIA Security+, (ISC)² CISSP, và các chuẩn NIST) để phân chia trách nhiệm, kiểm soát và áp dụng biện pháp bảo vệ phù hợp cho từng vùng. Mỗi miền có đặc thác rủi ro, đối tượng bảo vệ và biện pháp kiểm soát riêng.

7 Miền chính

1. Miền Người dùng (User Domain)

Định nghĩa: Bao gồm tất cả người dùng cuối (nhân viên, nhà thầu, đối tác) truy cập vào hệ thống thông tin của tổ chức.

Đặc điểm rủi ro: Con người thường được coi là "điểm yếu nhất trong chuỗi bảo mật" (theo thống kê ~90% sự cố an ninh mạng do lỗi/con người). Tấn công xã hội (social engineering), lừa đảo (phishing), mật khẩu yếu, chia sẻ tài khoản, thiết bị cá nhân không bảo vệ (BYOD).

Biện pháp kiểm soát:

• Chính sách bảo mật rõ ràng, đào tạo nhận thức an ninh mạng định kỳ.
• Xác thực đa yếu tố (MFA), quản trị đặc quyền (PAM), nguyên tắc đặc quyền tối thiểu (Least Privilege).
• Giám sát hoạt động bất thường (UEBA), DLP (Data Loss Prevention).

2. Miền Trạm làm việc (Workstation Domain)

Định nghĩa: Các thiết bị endpoint: máy tính để bàn, laptop, thin client mà người dùng dùng để truy cập tài nguyên mạng.

Rủi ro: Malware, ransomware, khai thác lỗ hổng OS/ứng dụng, mất thiết bị, USB độc hại, phần mềm không được cấp phép (Shadow IT).

Kiểm soát:

• Quản trị cấu hình chuẩn (Hardening), Cập nhật bản vá (Patch Management) tự động.
• EDR/XDR (Endpoint Detection & Response), Antivirus/NGAV, AppLocker/WDAC.
• Mã hóa ổ đĩa (BitLocker, FileVault), khóa màn hình tự động, quản trị thiết bị di động (MDM/UEM).

3. Miền Mạng cục bộ (LAN Domain)

Định nghĩa: Cơ sở hạ tầng mạng nội bộ: switch, access point, cáp, VLAN, máy in, server nội bộ, hệ thống VoIP, camera IP, IoT...

Rủi ro: Tấn công nội bộ (ARP spoofing, VLAN hopping, MAC flooding), thiết bị lậu (rogue device), nghe lén tráfico không mã hóa, lan truyền worm/ransomware ngang hàng (lateral movement).

Kiểm soát:

• Phân đoạn mạng (Network Segmentation) bằng VLAN, Subnet, Zone-based Firewall.
• Port Security, 802.1X (NAC), DHCP Snooping, Dynamic ARP Inspection (DAI).
• Mã hóa nội bộ (IPsec, MACsec), giám sát lưu lượng bất thường (NDR/NetFlow).

4. Miền Lan - WAN (LAN-to-WAN Domain)

Định nghĩa: Ran h biên giới giữa mạng nội bộ (LAN) và mạng ngoài (WAN/Internet): Router biên, Firewall biên, VPN Gateway, Proxy, Email Gateway, Web Gateway, WAF, DDoS Protection.

Rủi ro: Tấn công từ Internet (exploit, brute-force, DDoS), dữ liệu nhạy cảm rò rỉ ra ngoài (exfiltration), C2 (Command & Control) traffic, lỗ hổng thiết bị biên (VPN, firewall).

Kiểm soát:

• Firewall thế hệ mới (Next-Gen FW) với IPS, App-Control, SSL Inspection, Threat Intelligence.
• Zero Trust Network Access (ZTNA) thay thế VPN truyền thống.
• DLP tại gateway, Email Security (Anti-spam, Anti-phishing, Sandbox), Web Filtering.
• Quản trị bề mặt tấn công (ASM), kiểm tra lỗ hổng định kỳ, Penetration Test.

5. Miền Mạng diện rộng (WAN Domain)

Định nghĩa: Kết nối giữa các chi nhánh, trung tâm dữ liệu (Data Center), Cloud (AWS, Azure, GCP), và Internet: MPLS, SD-WAN, VPN site-to-site, đường truyền chuyên thuê, Internet broadband.

Rủi ro: Nghe lén trên đường truyền công cộng, tấn công Man-in-the-Middle, gián đoạn dịch vụ (DDoS), cấu hình sai BGP/routing, rò rỉ dữ liệu qua tunnel không mã hóa.

Kiểm soát:

• Mã hóa hết các liên kết WAN: IPsec VPN, TLS/SSL, MACsec, WireGuard.
• SD-WAN với bảo mật tích hợp (Secure SD-WAN / SASE).
• Quy trình quản trị thay đổi (Change Management), giám sát hiệu năng & bảo mật (NPM + NDR).

6. Miền Truy cập từ xa (Remote Access Domain)

Định nghĩa: Cách nhân viên, đối tác, quản trị viên kết nối vào mạng nội bộ từ bên ngoài: VPN Client (SSL/IPsec), Zero Trust Network Access (ZTNA), VDI/DaaS, Remote Desktop Gateway, SSH/RDP bastion host.

Rủi ro: Tài khoản bị đánh cắp (credential stuffing), thiết bị không quản trị (unmanaged device) truy cập, split-tunneling leak, tấn công brute-force VPN, malware từ thiết bị nhà nhân viên lan vào mạng công ty.

Kiểm soát:

• Bắt buộc MFA cho mọi truy cập từ xa.
• Kiểm tra tuân thủ thiết bị (Posture Check/Device Health) trước khi cho truy cập: AV cập nhật, disk encryption, patch level, không jailbreak/root.
• Zero Trust: "Never trust, always verify" – cấp quyền tối thiểu, phiên ngắn, giám sát liên tục.
• Ghi log tập trung, SIEM/SOAR phát hiện bất thường (Impossible travel, geo-velocity).

7. Miền Hệ thống/Ứng dụng (System/Application Domain)

Định nghĩa: Máy chủ (Server), cơ sở dữ liệu, ứng dụng nghiệp vụ (ERP, CRM, HRM), middleware, container, Kubernetes, serverless, API, CI/CD pipeline, hệ thống quản trị nhật ký (Logging/SIEM), backup.

Rủi ro: Lỗ hổng ứng dụng (OWASP Top 10: Injection, Broken Auth, Sensitive Data Exposure...), cấu hình sai (Misconfiguration), quyền quá rộng, supply chain attack, ransomware mã hóa database, insider threat (DBA/admin).

Kiểm soát:

• SDLC an toàn (DevSecOps): SAST, DAST, SCA, Container Scan, IaC Scan.
• Hardening OS/DB/Middleware (CIS Benchmarks), nguyên tắc least privilege, séparation of duties.
• WAF (Web App Firewall), API Gateway, RASP (Runtime App Self-Protection).
• Mã hóa dữ liệu tại chỗ (Encryption at rest) và trên đường truyền (TLS 1.2+).
• Backup 3-2-1, kiểm tra khôi phục định kỳ, Immutable Backup chống ransomware.

Tóm tắt ma trận rủi ro & kiểm soát

Lưu ý quan trọng

• 7 miền này tương tác chặt chẽ – lỗ hổng ở một miền có thể lan sang miền khác (ví dụ: User bị phishing → Workstation nhiễm malware → LAN lateral movement → System/App ransomware).
• Chiến lược bảo mật hiệu quả phải áp dụng Đa lớp (Defense in Depth) và Zero Trust xuyên suốt tất cả 7 miền.
• Không có miền nào "an toàn tuyệt đối" – mục tiêu là giảm thiểu rủi ro còn lại (Residual Risk) ở mức chấp nhận được phù hợp với ngân sách và mục tiêu kinh doanh.